Seminar HarfangLab SOC Integration SIEM SOAR und API

Dieses dreitägige Seminar behandelt die Einbindung von HarfangLab in bestehende SOC-Architekturen. Der Schwerpunkt liegt auf sauberen Datenflüssen, nutzbarer Alarmqualität, API-gestützten Prozessen, SIEM-/SOAR-Anbindungen und überprüfbaren Playbooks.

Inhaltsübersicht

• SOC-Zielarchitektur
• Event- und Log-Flows
• SIEM-Anbindung und Normalisierung
• SOAR-Playbooks und Response-Automation
• API, Threat Intelligence und Betriebsüberwachung

Praxisorientierte Seminarinhalte

Die Inhalte sind als geführte Arbeitsschritte aufgebaut. Jede Einheit verbindet Konfiguration, Analyse und operative Bewertung im Administrations- oder SOC-Kontext.

Kapitel 1: Integrationsziele festlegen

1. Schritt 1: SOC-Anwendungsfälle und Datenbedarfe aufnehmen
2. Schritt 2: Zu übertragende Security Events, Telemetrie und Audit-Informationen klassifizieren
3. Schritt 3: Rollen zwischen HarfangLab, SIEM, SOAR und Ticketing definieren
4. Schritt 4: Erfolgskennzahlen für Integration und Alarmqualität festlegen

Kapitel 2: SIEM-Anbindung planen

1. Schritt 1: Transportwege und Formate für Ereignisse festlegen
2. Schritt 2: Feldmapping und Normalisierung prüfen
3. Schritt 3: Korrelationsregeln im SIEM auf HarfangLab-Daten abstimmen
4. Schritt 4: Dubletten, Rauschanteile und fehlende Kontextfelder bewerten

Kapitel 3: SOAR-Prozesse entwickeln

1. Schritt 1: Wiederkehrende Analystenhandlungen identifizieren
2. Schritt 2: Playbook-Schritte für Anreicherung, Eskalation und Response modellieren
3. Schritt 3: Automatische Aktionen mit Freigabestufen absichern
4. Schritt 4: Fehler- und Abbruchpfade für Playbooks definieren

Kapitel 4: API und Threat Intelligence nutzen

1. Schritt 1: API-Anwendungsfälle für Abfragen, Status und Maßnahmen beschreiben
2. Schritt 2: IOC- und CTI-Flows mit HarfangLab-Prozessen verbinden
3. Schritt 3: Authentisierung, Rechte und Schlüsselverwaltung organisatorisch absichern
4. Schritt 4: Automatisierungen protokollierbar und wartbar gestalten

Kapitel 5: Betrieb überwachen

1. Schritt 1: Integrationsmonitoring für Datenfluss und Latenz definieren
2. Schritt 2: Testalarme und Health Checks einrichten
3. Schritt 3: Änderungen an Datenmodell und Playbooks versionieren
4. Schritt 4: Regelmäßige Reviews mit SOC und Administration etablieren

Praktische Übungen

• Entwurf eines HarfangLab-SIEM-Datenflusses
• Mapping eines Security Events auf ein SOC-Datenmodell
• Modellierung eines SOAR-Playbooks mit manueller Freigabe
• Erstellung einer Integrationscheckliste

Geeignet für

Geeignet für Teams, die HarfangLab nicht isoliert, sondern als Baustein einer SOC-Plattform mit SIEM, SOAR, Ticketing und Threat Intelligence betreiben wollen.

Voraussetzungen

Erforderlich sind Kenntnisse in Logmanagement, SIEM-/SOAR-Konzepten und Security Operations. Skript- oder API-Erfahrung ist vorteilhaft.